// serviço · auditoria de segurança
Auditoria de segurança Moodle: vulnerabilidades, performance e compliance
Análise técnica completa da sua plataforma Moodle — versão do core, plugins desatualizados, configuração do servidor, exposição de endpoints, integridade do cron, performance e conformidade LGPD / GDPR / CNPD. Entrega: relatório executivo + plano de remediação priorizado por risco e custo.
// para quem é
Para quem é
Você está em alguma destas situações e adiar virou risco operacional ou jurídico:
Moodle exposto sem proteção
Sem WAF, sem rate-limit, login admin público, plugins de terceiros há anos sem update. Endpoints REST acessíveis sem autenticação.
Auditoria LGPD / GDPR / CNPD
Cliente, jurídico ou DPO pediu evidência técnica de que a plataforma cumpre as exigências de segurança previstas em lei.
Pós-incidente ou pré-renovação
Houve incidente (login suspeito, lentidão, vazamento) e precisa entender o que aconteceu. Ou vai renovar contrato e quer base técnica para negociar.
// escopo
O que entregamos
Auditoria estruturada em sete frentes de análise. Cada uma alimenta o relatório final com achados, severidade e remediação.
- Versão do core e CVEs conhecidos — comparação da versão atual com o ciclo de releases LTS, identificação de vulnerabilidades CVE publicadas e patches aplicáveis.
- Inventário de plugins de terceiros — todos os plugins instalados (mesmo desativados), versão atual vs. disponível, plugins descontinuados ou abandonados pela comunidade.
- Configuração do servidor — PHP (versão, módulos,
php.inicrítico), MySQL/MariaDB (versão, charset, índices), cache (configurado, ausente, mal dimensionado), Redis/Memcached. - Integridade do cron e tarefas agendadas — última execução, falhas silenciosas acumuladas, tarefas órfãs, lixo no banco por cron parado.
- Exposição de endpoints sensíveis —
/adminpúblico, REST API sem auth, arquivos de log acessíveis,config.phpcom perms erradas, debug ativo em produção. - Performance e bottlenecks — queries lentas, falta de índices, dataroot crescendo sem rotação, sessões mal limpas, dwell time em páginas críticas.
- Conformidade LGPD / GDPR / CNPD — política de retenção de dados, exportação para titular, log de acesso, criptografia em trânsito e em repouso, cookies, registro de processamento.
- Relatório executivo (resumo C-level) — top 5 riscos, custo estimado de remediação, prioridade temporal. Para diretoria, jurídico, financeiro.
- Relatório técnico detalhado (para TI) — cada achado com evidência, severidade CVSS, passos de remediação, comandos exatos, links de referência.
- Apresentação ao vivo — sessão de 90 min com sua equipe técnica + decisor para apresentar achados, responder dúvidas e priorizar.
// metodologia
Como trabalhamos
Processo em 5 etapas. Não invasivo por padrão; pentest ativo só com escopo escrito separado.
Setup de acesso
Acesso SSH read-only ou snapshot do ambiente, credencial admin Moodle temporária, NDA assinado. Definição de janela de análise e canais de comunicação.
Mapeamento técnico
Versão do core, lista completa de plugins, configuração de servidor, integrações ativas, usuários e permissões, volume de dados. Tudo logado.
Avaliação dos achados
Cruzamento com CVE database, análise de logs, validação de configurações, teste de exposição de endpoints, simulação de cenários de risco.
Documentação dupla
Resumo executivo para C-level + relatório técnico detalhado para TI. Cada achado com severidade CVSS, evidência e passos de remediação.
Sessão de 90 min
Apresentação ao vivo dos achados com sua equipe + decisor. Resposta a dúvidas. Priorização conjunta do plano de remediação.
15 dias de dúvidas
Suporte assíncrono para dúvidas sobre o relatório por 15 dias úteis. Sem custo. Implementação das remediações é escopo separado se contratada.
// padrões que atendemos
Tipologias de Moodle que auditamos
Em quase 10 anos, identificamos quatro arquétipos recorrentes em auditoria. Provavelmente seu cenário cai em um deles.
Plataforma legada sem proteção
Moodle 3.x ou 4.x antigo, sem WAF, sem rate-limit no login admin, plugins de terceiros sem update há 2+ anos, debug ativo em produção. Logs de acesso mostram tentativas regulares de força bruta.
Auditoria por exigência legal
DPO ou jurídico pediu evidência técnica de conformidade. Foco em retenção de dados, log de acesso, criptografia, exportação para titular, gestão de cookies, registro de processamento. Relatório alinhado com art. 46 LGPD / art. 32 GDPR.
Moodle lento sem causa óbvia
Plataforma fica lenta em horários de pico, queries demoram, cache mal configurado ou ausente, dataroot crescendo sem rotação, cron acumulando lixo. Foco em bottlenecks + plano de otimização.
Houve algo estranho e ninguém sabe
Login admin suspeito, conteúdo aparece/desaparece, lentidão repentina, alerta de hosting. Cliente precisa entender o que aconteceu e prevenir. NÃO é forense legal (cadeia de custódia) — é diagnóstico técnico.
Cenários mistos são comuns — auditoria de compliance + performance, ou pós-incidente + revisão de configuração. A entrevista inicial define o escopo final do trabalho.
// investimento
O que define o orçamento
Auditoria não é commodity — varia pela complexidade do ambiente. Variáveis que pesam:
A entrevista inicial (30 min, gratuita) define escopo, prazo e orçamento fechado antes de qualquer compromisso.
// faq
Perguntas frequentes
O que é uma auditoria de segurança Moodle?
Análise técnica completa cobrindo versão do core (CVEs conhecidos), plugins instalados, configuração de servidor (PHP, MySQL, cache, cron), permissões, exposição de endpoints, integridade de logs e conformidade LGPD/GDPR. Entrega: relatório executivo + checklist técnico + plano de remediação priorizado.
Quanto tempo demora a auditoria?
Auditoria básica em ambiente padrão: 5 a 7 dias úteis. Plataformas multi-tenant ou com integrações complexas (SSO, ERP, APIs): 2 a 3 semanas. Inclui sempre análise + redação + sessão de apresentação dos achados.
Vocês fazem pentest invasivo ou só análise passiva?
Por padrão a auditoria é técnica e configuracional (não invasiva). Para pentest ativo (varredura de vulnerabilidades em produção, tentativas de exploração controladas) montamos escopo separado com autorização escrita do cliente e janela de execução controlada — exigência legal para evitar enquadramento criminal.
Posso usar o relatório para auditoria interna ou compliance?
Sim. O relatório é estruturado em duas camadas: resumo executivo (diretoria, jurídico, compliance) e detalhe técnico (TI, DPO, operação). Cobre os tópicos exigidos pela LGPD (art. 46 e seguintes) e GDPR (art. 32) sobre medidas técnicas de segurança.
O que vocês NÃO fazem?
Não emitimos selo de conformidade legal (função do DPO + advogado). Não fazemos investigação forense pós-incidente para uso judicial (escopo diferente, requer cadeia de custódia legal). Não atendemos pedidos de exploração ativa contra ambientes que não nos foram autorizados por escrito pelo titular.
E depois do relatório, vocês implementam as correções?
Implementação é escopo separado e opcional. Se contratada, herda o conhecimento da auditoria sem refazer análise. Cliente pode também levar o relatório para sua equipe interna de TI ou outro fornecedor — o relatório é detalhado o suficiente para qualquer profissional sênior agir.
Não tem certeza do nível de risco do seu Moodle?
Faça o diagnóstico técnico de segurança em 2-3 minutos. 10 perguntas sobre WAF, backup, cron, cache, plugins, LGPD, SSO e logs. Score 0-100 + plano de remediação adaptado.
Fazer diagnóstico de segurançaQuer entender o estado real da sua plataforma?
Reserve 30 minutos com Alejandro para entrevista inicial gratuita e escopo de auditoria.
Reservar entrevista de 30 minOu direto por email: ceo@programamoodle.com